AI-Agent-Prompt-Injection

Was ist AI-Agent-Prompt-Injection?

AI-Agent-Prompt-Injection ist Prompt Injection in einem System, das planen, Tools wählen, Zustände lesen und schreiben und über mehrere Schritte handeln kann. Der Mechanismus selbst ist nicht neu. Anders ist die Umgebung, in der der beeinflussende Text landet: Statt einer einzelnen Antwort entstehen Pläne und Aktionsvorschläge, die andere Komponenten ausführen können.

Der beeinflussende Inhalt kann direkt über den vorgesehenen Nutzerkanal eintreten oder indirekt über Webinhalte, E-Mails, Dokumente, abgerufene Passagen, Suchergebnisse, Repository-Text oder ein Tool-Ergebnis. Beide Wege können denselben Planner erreichen.

Das ist also keine dritte Injection-Variante neben direkter und indirekter Prompt Injection. Es ist derselbe Mechanismus, betrachtet in einem System, in dem die Folge eines beeinflussten Plans eine Aktion statt eines Satzes sein kann.

Grundlagen zum Tool-Calling-Kreislauf bietet der Lernartikel AI Agents und Tool Calling.

Warum Agency die Sicherheitsfolge verändert

Ein Assistent ohne Tools kann falsche, irreführende oder manipulierte Ausgaben erzeugen. Das ist für die Integrität von Informationen und für nachgelagerte Systeme relevant, doch das Modell selbst erreicht nichts. Ein Agent verfügt zusätzlich über Fähigkeiten oder kann sie anfordern: Datensätze lesen, Zustände schreiben, Nachrichten senden, Dienste aufrufen, Konfiguration ändern oder Code ausführen, je nach Bauweise.

Die Folge ergibt sich nicht aus dem Etikett "Agent", sondern aus konkreten Eigenschaften: welche Tools existieren, welche Daten erreichbar sind, welche Identität und delegierte Autorität genutzt werden, welche Aktionen irreversibel sind und welche Kontrollschichten zwischen Vorschlag und Wirkung liegen.

Umfang und verwandte Klassen

Unsichere Kommunikation zwischen Agenten behandelt der Artikel Multi-Agent-Prompt-Injection.

OWASP beschreibt Excessive Agency als Schwachstelle, die durch übermäßige Funktionalität, Berechtigungen oder Autonomie entsteht und schädliche Aktionen bei unerwarteten, mehrdeutigen oder manipulierten Modellausgaben ermöglicht. Prompt Injection ist ein Weg, auf dem eine Ausgabe manipuliert wird; das Schadenspotenzial stammt aus der im Design gewährten Handlungsfähigkeit.

Direkter und indirekter Eintritt in einen Agenten

All das kann denselben Planner erreichen, trägt aber nicht dieselben Vertrauenseigenschaften. Direkte Eingaben sind einer authentifizierten Identität zurechenbar und begründen dennoch keine Anweisungsautorität. Externe Inhalte haben oft überhaupt keinen zurechenbaren Urheber. Provenienz muss daher bei der Aufnahme erfasst und nicht nachträglich rekonstruiert werden.

Direkte Prompt Injection und indirekte Prompt Injection behandeln diese Eintrittspfade im Detail; dieser Artikel verfolgt, was danach in der Agentenschleife geschieht.

Die Ausführungskette eines Agenten

Planner, Richtlinie, Autorisierung und Tool-Laufzeit sind Komponenten unter Kontrolle des Betreibers. Eingehender externer Kontext und Tool-Beobachtungen sind standardmäßig nicht vertrauenswürdig. Pläne, Vorschläge und Wirkungen sind variabel: Ihre Sicherheitsbedeutung hängt davon ab, was die umgebenden Kontrollen zulassen.

Ziel, Aufgabe und Autorität sind verschiedene Dinge

Text, der ein Ziel formuliert, ist unabhängig von seiner Befehlsform höchstens eine Eingabe für die erste Spalte. Er kann keine Richtlinie und keine Berechtigung erzeugen. Ein System, in dem Zielformulierungen Datenzugriff oder Aktionsumfang erweitern, hat eine Autorisierungsentscheidung in das Modell verlagert.

Agentenidentität und initiierende Identität

Die Least-Privilege-Leitlinie von Microsoft für AI-Agenten empfiehlt stabile, lebenszyklusverwaltete Agentenidentitäten mit verantwortlicher Eigentümerschaft, eng gefasste und bedarfsgerecht ausgestellte Berechtigungen, aufgabenbezogene Autorisierung, ausdrückliche Tool- und Aktionsrichtlinien, nachgelagerte Autorisierung und schnellen Entzug. Die zugehörige Leitlinie zu Identität, Zugriff und Least Privilege empfiehlt Vertrauensentscheidungen je Nutzer, Agent, Plugin und Tool sowie eine Bindung der Berechtigungen an die initiierende Identität und die konkrete Aufgabe.

Fähigkeitsinventar und effektiver Berechtigungsgraph

Tools einzeln zu prüfen, unterschätzt das Risiko. Entscheidend ist der effektive Berechtigungsgraph: alles, was der Agent mit den ihm verfügbaren Identitäten über Systemgrenzen hinweg erreichen kann. Mehrere für sich enge Rechte können zusammen einen großen Blast Radius ergeben.

Eine kontrollierte Übung, das Lab Tool-Chain-Analyse, trainiert die Analyse der Zusammensetzung auf Sequenzebene: kumulative Wirkungen, Wiederholungen nach unbeobachteten Ergebnissen und begrenzte Ketten über mehrere Agenten. Es ist eine deterministische Simulation, keine Anleitung zum Verketten realer Systeme.

Trennung von Planung, Vorschlag und Ausführung

Eine Modellausgabe ist ein Vorschlag. Sie nennt ein Tool, eine Ressource und Parameter. Ob genau diese Operation stattfindet, entscheidet eine deterministische Komponente außerhalb des Modells anhand von initiierender Identität, Aufgabenumfang, Ressource, Parametern und Richtlinienversion.

Die Schleife aus Beobachtung und Neuplanung

Agenten arbeiten in Schleifen. Ein Tool-Ergebnis, ein Memory-Zugriff oder eine externe Beobachtung kommt zurück, der Planner aktualisiert seine Sicht und schlägt den nächsten Schritt vor. Einfluss, der an irgendeiner Stelle dieser Schleife entsteht, kann alle späteren Schritte prägen. Eine Agentenkette ist deshalb keine einzelne Entscheidung, sondern eine Folge von Entscheidungen.

Tool-Auswahl und Tool-Ergebnis

Manipulation der Tool-Auswahl zielt auf Katalog und Auswahl; Tool-Output-Injection beginnt nach einem erfolgten Aufruf und betrifft die Antwort. Beides gehört zum Agentenpfad und braucht getrennte Kontrollen. Der eigene Artikel zur Tool-Output-Injection behandelt die Antwortseite ausführlich; MCP-Tool-Metadaten-Injection behandelt die Katalogseite vor dem Aufruf.

Zustand, Memory und Persistenz

Persistenz macht aus einer einmaligen Exposition eine wiederkehrende: Einmal geschriebener Inhalt kann lange danach abgerufen werden und erneut in den Kontext gelangen, möglicherweise für eine andere Person. Memory- und Kontextvergiftung ist eine eigene Klasse mit eigenen Kontrollen und einer der Hauptgründe, warum ein Agentenbefund nicht durch das Beenden der Sitzung geschlossen ist.

Die Multi-Agent-Grenze

Delegiert ein Agent an einen Peer- oder Sub-Agenten, ist dessen Antwort eine Beobachtung wie jede andere. Sie wird nicht dadurch autoritativ, dass sie aus einer internen Komponente stammt, und der aufrufende Agent kann nicht annehmen, dass die Gegenseite dieselben Provenienz- und Autorisierungsregeln angewandt hat.

Mindestens gilt in einem Multi-Agent-Aufbau: Jeder Agent behält seine eigene Identität, seine aufgabenbezogene Autorisierung und seine eigene Protokollierung, und ein nachgelagerter Dienst autorisiert die Anfrage erneut, statt der Orchestrierungsschicht zu vertrauen.

Erfolgskette der Agenten-Injection

1. 01
   Kontrollierte Eingabe oder Quelle

   Eine angreifende oder nutzende Partei kontrolliert eine direkte Eingabe oder eine externe Quelle, die der Agent heranzieht.

2. 02
   Inhalt erreicht den Agentenkontext

   Das Material wird abgerufen oder zurückgeliefert und in modellsichtbaren Kontext aufgenommen.

3. 03
   Plan wird beeinflusst

   Interpretation, Zielrahmen oder vorgeschlagener Schritt ändern sich messbar.

4. 04
   Passende Fähigkeit existiert

   Ein Tool oder eine Berechtigung, die die beabsichtigte Wirkung erzeugen könnte, ist tatsächlich verfügbar.

5. 05
   Aktion erreicht die Autorisierung

   Ein konkreter Vorschlag mit Ressource und Parametern gelangt zur entscheidenden Kontrolle.

6. 06
   Richtlinie versagt oder ist zu weit

   Die Entscheidung erlaubt die Aktion, weil keine Regel greift oder der Umfang zu groß ist.

7. 07
   Aktion wird ausgeführt

   Die Operation läuft mit der gewährten Fähigkeit gegen die reale Ressource.

8. 08
   Sicherheitsrelevante Wirkung

   Unbefugter Zugriff, Änderung, Übertragung oder Persistenz tritt tatsächlich ein.

In einem mehrstufigen Lauf ist jede Beobachtung, jede Neuplanung und jede Aktion eine eigene Instanz der späteren Stufen. Die Kette kann an jeder dieser Stellen brechen, und sie kann mehrfach brechen.

Konkurrierende Schranken

Jede deterministische Schranke durchtrennt die Kette an einer anderen Tiefe. Hält eine frühe Schranke, entsteht unter Umständen gar keine Modellexposition; hält eine späte, ist Einfluss beobachtbar, ohne dass eine sicherheitsrelevante Wirkung eintritt. Genau darin liegt der Sinn mehrschichtiger Kontrolle, und dieser Unterschied gehört dokumentiert statt verrechnet.

Autorisierte offensive Prüfung

Agententests gehören in eine autorisierte Prüfung mit schriftlichem Umfang, in eine Nicht-Produktionsumgebung oder klar begrenzte Berechtigungen, mit synthetischen Daten und umkehrbaren Wirkungen. Ziel ist die Erkenntnis, welches Gate hält, nicht der Nachweis, dass ein Modell beeinflussbar ist.

Durchgespieltes Szenario

Ein synthetischer interner Betriebsagent soll ein Support-Issue analysieren und bei Bedarf das zugehörige Ticket aktualisieren. Seine aufgabenbezogenen Fähigkeiten: das Issue und seine Kommentare lesen, den verlinkten Wissensartikel lesen sowie Status und Zusammenfassungsfeld genau dieses Tickets aktualisieren.

Autorisierungsarchitektur

1. 01
   Eindeutige Agentenidentität

   Eine lebenszyklusverwaltete Identität mit verantwortlicher Eigentümerschaft, getrennt von jedem menschlichen Konto.

2. 02
   Erhaltene initiierende Identität

   Die Identität, die die Aufgabe gestartet hat, begleitet die Anfrage und ist an jedem Entscheidungspunkt sichtbar.

3. 03
   Aufgabenbezogene Autorisierung

   Berechtigungen gelten für die aktuelle Aufgabe, nicht für den Agenten im Allgemeinen.

4. 04
   Bedarfsgerechte Berechtigung

   Kurzlebige, eng gefasste Zugangsdaten für eine konkrete Operation statt dauerhaftem Zugriff.

5. 05
   Freigabelisten je Tool und Aktion

   Ausdrückliche Richtlinie, welche Tools und Operationen in diesem Aufgabentyp verfügbar sind.

6. 06
   Exakte Bindung

   Die Entscheidung umfasst konkrete Aktion, Ressource, Ziel und Parameter, nicht eine allgemeine Fähigkeit.

7. 07
   Nachgelagerte erneute Autorisierung

   Der aufgerufene Dienst autorisiert eigenständig; die Freigabe des Orchestrators genügt nicht.

8. 08
   Step-up und menschliche Freigabe

   Irreversible, folgenreiche oder nach außen sichtbare Aktionen brauchen eine an die konkrete Operation gebundene Freigabe.

9. 09
   Erneute Autorisierung bei Änderung

   Jede Änderung von Parametern, Ziel oder Zustand zwischen Entscheidung und Ausführung löst eine neue Entscheidung aus.

10. 10
    Schneller Entzug

    Berechtigungen, Token und Sitzungen lassen sich sofort ungültig machen, mit funktionierendem Notschalter für den Agenten.

Diese Erwartungen folgen den veröffentlichten Leitlinien zu Least Privilege und geteilter Verantwortung für AI-Agenten: geringste Rechte je Tool, Autorisierung je Aktion, menschliche Freigaben für folgenreiche Operationen, Sandboxing und Egress-Kontrolle, Memory-Isolation und Auditierung.

Informationsfluss und Egress

Gefährlich ist die Kombination aus sensiblem Kontext und einem angreiferbeeinflussten Ziel. Solange die Zielmenge per Richtlinie feststeht, kann ein beeinflusster Plan erreichbare Daten nicht in übertragene Daten verwandeln.

Erkennung und Telemetrie

Nützliche Signale sind Zielabweichung, Planabweichung, Abweichung der Tool-Kette, Ausweitung des Umfangs, ein neu auftauchendes Ziel, wiederholt verweigerte Aktionen, versuchte Rechteänderungen, systemübergreifende Verkettung, Abweichung zwischen Vorschlag und ausgeführter Operation sowie unerwartete Memory-Schreibvorgänge.

Grenzen der Erkennung

Klassifizierer für Prompt Injection, Guardrail-Modelle und heuristische Filter arbeiten probabilistisch. Sie erzeugen falsch negative Ergebnisse bei unbekannten Formulierungen und falsch positive bei legitimen Sicherheits- oder Supportinhalten, und ihr Verhalten ändert sich mit Modell- und Prompt-Aktualisierungen.

Erkennung gehört deshalb in die Überwachungs- und Reaktionsschicht, wo falsch positive Ergebnisse Untersuchungszeit kosten, und nicht in den Entscheidungspfad, wo falsch negative eine unbefugte Aktion kosten würden.

Sichere Architekturmuster

Kontrollierte Tests und Metriken

Jede Metrik braucht einen eigenen, ausdrücklich genannten Nenner und muss getrennt berichtet werden. Eine zusammengesetzte "Erfolgsrate" verdeckt, welches Gate gehalten hat, und macht Ergebnisse zwischen Systemen unvergleichbar.

Der Erfolg gutartiger Aufgaben, also der Nutzen, gehört als eigene Dimension neben diese Sicherheitsmaße. AgentDojo ist hier als Evaluationsrahmen für Agenten relevant, die Tools über nicht vertrauenswürdigen Daten ausführen, weil es gutartigen Aufgabennutzen und Sicherheitstestfälle getrennt hält, statt sie zu einer Zahl zu verschmelzen.

Incident Response

Ein Agentenvorfall zu schließen verlangt dieselbe Disziplin wie ihn einzuordnen: Ein veränderter Plan, ein verweigerter Vorschlag und eine ausgeführte Aktion sind drei verschiedene Ergebnisse mit drei verschiedenen Maßnahmen.

Standards und Forschungskontext

OWASP LLM01:2026 beschreibt Prompt Injection als Mechanismus, über den Eingaben das Modellverhalten verändern, während LLM03:2026 Excessive Agency als begünstigendes Designrisiko darstellt, das schädliche Aktionen bei manipulierten Modellausgaben ermöglicht. Die OWASP Top 10 for Agentic Applications 2026 benennen die hier verwendeten agentenspezifischen Klassen, darunter Goal Hijack, Tool Misuse, Identity and Privilege Abuse, Memory and Context Poisoning sowie Insecure Inter-Agent Communication. NIST AI 100-2e2025 und das NIST-Glossar liefern die Terminologie zu indirekter Prompt Injection und Ressourcenkontrolle.

Die Safety-Dokumentation des Microsoft Agent Framework behandelt Inhalte in der Tool-Rolle ausdrücklich als nicht vertrauenswürdig, weil von Tools und Kontextanbietern gelieferte Daten aus externen oder nutzerbeeinflussten Quellen stammen können. Die Zero-Trust-Leitlinien zu Least Privilege für AI-Agenten sowie zu Identität, Zugriff und Least Privilege beschreiben Agentenidentität, eng gefasste und bedarfsgerechte Berechtigungen, Richtlinien je Tool und Aktion, nachgelagerte Autorisierung, Protokollierung und Entzug; das Modell der geteilten Verantwortung für AI-Agenten ordnet diese Pflichten zwischen Plattform und Anwendungsteam zu. Das sind Produktempfehlungen und werden hier als solche zitiert.

Auf Forschungsseite hat Greshake et al. die praktische Durchführbarkeit indirekter Prompt Injection gegen LLM-integrierte Anwendungen belegt, und AgentDojo stellt einen Evaluationsrahmen für Agenten bereit, die Tools über nicht vertrauenswürdigen Daten ausführen, mit getrennter Betrachtung von gutartigem Aufgabennutzen und Sicherheitstestfällen. Forschung an der Tool-Grenze, etwa zur kausalen Attribution von Tool-Aufrufen und zu Verteidigung über das Parsen von Tool-Ergebnissen, betrifft stärker die Tool-Output-Injection als die Agentenschleife insgesamt. Angriffsverfahren werden hier nicht wiedergegeben.

Der Abwehrbereich ordnet diese Kontrollen in die übergreifende Architektur für Provenienz, geringste Rechte, Informationsfluss, Aktionskontrolle und Wiederherstellung ein.

Häufige Fragen